フェデレーション認証サービス

最終公開日 : Nov 13, 2026
フェデレーション認証サービス (FAS) を使用して、Linux VDAにログオンするユーザーを認証できます。Linux VDAは、FASログオン機能にWindows VDAと同じWindows環境を使用します。FASのWindows環境の構成については、「フェデレーション認証サービス」を参照してください。この記事では、Linux VDAに特化した追加情報を提供します。
注:
  • Linux VDAは、セッション内動作ポリシーをサポートしていません。
  • Linux VDAは、FASサーバーとのデータ転送に短い接続を使用します。
  • 2206リリース以降、ctxsetup.shのCTX_XDL_FAS_LISTを介して、Linux VDA側でFASポートをカスタマイズできます。詳細については、お使いのディストリビューションに基づいたLinux VDAのインストール記事を参照してください。
Related information
認証

サポートされているディストリビューション

FASは、限られたLinuxディストリビューションとドメイン参加方法をサポートしています。次のマトリックスを参照してください。
ウィンバインド SSSD セントリファイ PBIS
アマゾン Linux 2 はい はい はい はい
デビアン 11.3 はい はい はい はい
RHEL 9.2/9.0 はい はい いいえ いいえ
RHEL 8.8/8.6 はい はい はい はい
RHEL 7.9、CentOS 7.9 はい はい はい はい
ロッキー Linux 9.2/9.0 はい はい いいえ いいえ
ロッキー Linux 8.8/8.6 はい はい いいえ いいえ
SUSE 15.4 はい はい はい いいえ
ウブントゥ 22.04/20.04 はい はい はい はい

Linux VDA での FAS の構成

RHEL 8.x/9.x および Rocky Linux 8.x/9.x での FAS のサポート

FAS は pam\_krb5 モジュールに依存しますが、これは RHEL 8.x および Rocky Linux 8.x では非推奨です。マルチセッション OS モードで提供される RHEL 8.x および Rocky Linux 8.x マシンで FAS を使用する場合は、次の手順が必要です。シングルセッション OS (VDI) モードで提供される RHEL 8.x および Rocky Linux 8.x マシンで FAS を使用する場合は、次の手順をスキップできます。
  1. 次の Web サイトから pam\_krb5-2.4.8-6 ソースコードをダウンロードします:
    <https://centos.pkgs.org/7/centos-x86_64/pam_krb5-2.4.8-6.el7.x86_64.rpm.html>。
  2. RHEL 8.x および Rocky Linux 8.x に pam\_krb5 モジュールをビルドしてインストールします。
    yum install make gcc krb5-devel pam-devel autoconf libtool

    rpm2cpio pam_krb5-2.4.8-6.el7.src.rpm | cpio -div

    tar xvzf pam_krb5-2.4.8.tar.gz

    cd pam_krb5-2.4.8

    ./configure --prefix=/usr

    make

    make install
  3. pam\_krb5.so が /usr/lib64/security/ に存在することを確認します。
    ls -l /usr/lib64/security | grep pam_krb5

FAS サーバーの設定

新規の Linux VDA インストールで FAS を使用するには、ctxinstall.sh または ctxsetup.sh を実行するときに、各 FAS サーバーの FQDN を入力します。
注:
FAS サーバーは AD グループポリシーを介して構成されます。ドメイン GPO での FAS ポリシー設定については、「グループポリシーの構成」を参照してください。
Linux VDA は AD グループポリシーをサポートしていないため、代わりにセミコロンで区切られた FAS サーバーのリストを指定できます。次の点に注意してください:
  • リストの順序は、AD グループポリシーで構成されているものと同じである必要があります。
  • サーバーアドレスが削除された場合は、その空白を**\&lt;none\>**というテキスト文字列で埋め、サーバーアドレスのインデックスは変更しないでください。
既存のLinux VDAインストールをアップグレードするには、ctxsetup.shを再実行してFASサーバーを設定できます。または、次のコマンドを実行してFASサーバーを設定し、ctxvdaサービスを再起動して設定を有効にできます。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -t "REG_SZ" -v "Addresses" -d "<Your-FAS-Server-List>" --force

service ctxjproxy restart

service ctxvda restart
ctxregを介してFASサーバーを更新するには、次のコマンドを実行します。
sudo /opt/Citrix/VDA/bin/ctxreg update -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -v "Addresses" -d "<Your-FAS-Server-List>"

service ctxjproxy restart

service ctxvda restart

証明書のインストール

ユーザー証明書の検証のために、ルートCA証明書とすべての中間証明書をVDAにインストールします。たとえば、ルートCA証明書をインストールするには、前のMicrosoft CA (AD上) からCA証明書を取得するの手順からADルート証明書を取得するか、ルートCAサーバーhttp://CA-SERVER/certsrvからDER形式をダウンロードします。
注:
次のコマンドは、中間証明書の設定にも適用されます。
DERファイル（.crt、.cer、.der）をPEMに変換するには、次の類似コマンドを実行します。
sudo openssl x509 -inform der -in root.cer -out root.pem
次に、次の類似コマンドを実行して、ルートCA証明書をopensslディレクトリにインストールします。
sudo cp root.pem /etc/pki/CA/certs/
注:
ルートCA証明書を**/root**パスの下に置かないでください。そうしないと、FASはルートCA証明書への読み取り権限を持ちません。

ctxfascfg.shの実行

ctxfascfg.shスクリプトを実行してFASを構成します。
sudo /opt/Citrix/VDA/sbin/ctxfascfg.sh
環境変数が追加され、ctxfascfg.shをサイレントモードで実行できるようになります。
  • CTX\_FAS\_ADINTEGRATIONWAY=winbind \| sssd \| centrify \| pbis: Active Directory統合方法を示します。これは、CTX_EASYINSTALL_ADINTEGRATIONWAYが指定されている場合にCTX_EASYINSTALL_ADINTEGRATIONWAYと等しくなります。CTX_EASYINSTALL_ADINTEGRATIONWAYが指定されていない場合、CTX_FAS_ADINTEGRATIONWAYは独自の値を設定します。
  • CTX\_FAS\_CERT\_PATH \=\&lt;certificate path\>: ルート証明書とすべての中間証明書を格納する完全なパスを指定します。
  • CTX_FAS_KDC_HOSTNAME: PBISを選択した場合のKey Distribution Center (KDC) のホスト名を指定します。
  • CTX_FAS_PKINIT_KDC_HOSTNAME：PKINIT KDC ホスト名を指定します。特に指定がない限り、CTX_FAS_KDC_HOSTNAME と同じです。複数の Delivery Controller がある場合は、ドメインのすべての KDC のホスト名を /etc/krb5.conf ファイルの pkinit_kdc_hostname に追加します。詳細については、Knowledge Center の記事 CTX322129 を参照してください。
適切な Active Directory 統合方法を選択し、証明書の正しいパスを入力します (例: /etc/pki/CA/certs/)。
その後、スクリプトは krb5-pkinit および pam\_krb5 パッケージをインストールし、関連する構成ファイルを設定します。

FAS を無効にする

Linux VDA で FAS を無効にするには、次のコマンドを使用して ConfDB からすべての FAS サーバーを削除します。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -t "REG_SZ" -v "Addresses" -d "" --force

service ctxjproxy restart

service ctxvda restart

制限事項

  • FAS はまだロック画面をサポートしていません。セッションでロックボタンをクリックすると、FAS を使用してセッションに再度ログオンすることはできません。
  • このリリースでは、Federated Authentication Service のアーキテクチャの概要 の記事にまとめられている一般的な FAS 展開のみがサポートされており、Windows 10 Azure AD Join は含まれていません。

トラブルシューティング

FAS のトラブルシューティングを行う前に、Linux VDA が正しくインストールおよび構成されており、パスワード認証を使用して共通ストアで非 FAS セッションが正常に起動できることを確認してください。
非 FAS セッションが正常に動作する場合は、Login クラスの HDX ログレベルを VERBOSE に、VDA ログレベルを TRACE に設定します。Linux VDA のトレースログを有効にする方法については、Knowledge Center の記事 CTX220130 を参照してください。
Linux XDPing ツールを使用して、Linux VDA 環境に存在する可能性のある一般的な構成の問題を確認することもできます。詳細については、XDPing を参照してください。

FAS サーバー構成エラー

FAS ストアからのセッション起動に失敗します。
/var/log/xdl/hdx.log を確認し、次のようなエラーログを見つけてください。
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: [Logon Type] Federated Authentication Logon.

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: entry

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas: start connect to server 0

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas0: failed to connect: Connection refused.

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: failed to connect to server [0], please confirm if fas service list is well configurated in condb

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: exit, 43

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: failed to validate fas credential

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: LoginBoxValidate: failed validation of user 'user1@CTXDEV.LOCAL', INVALID_PARAMETER

解決策

次のコマンドを実行して、Citrix レジストリ値「HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Citrix\\VirtualDesktopAgent\\Authentication\\UserCredentialService」が \&lt;Your-FAS-Server-List\> に設定されていることを確認します。
sudo /opt/Citrix/VDA/bin/ctxreg dump | grep "UserCredentialService"
既存の設定が正しくない場合は、前述の FAS サーバーの設定 の手順に従って再度設定してください。

CA証明書の構成が正しくありません

FASストアからのセッション起動に失敗します。灰色のウィンドウが表示され、数秒後に消えます。
ルートCA証明書の構成が正しくないため、ログオンが無効です(/en-us/linux-virtual-delivery-agent/2308/media/incorrect-root-ca-cert-config.png)
/var/log/xdl/hdx.log を確認し、次のようなエラーログを見つけてください。
2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_logon_certificate: entry

2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: check_caller: current process: pid [30656], name [/opt/Citrix/VDA/bin/ctxlogin]

2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_public_certificate: entry

2021-01-28 01:47:46.211 <P30656:S5> citrix-ctxlogin: query_fas: waiting for response...

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: query_fas: query to server success

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: get_public_certificate: exit

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: fas_base64_decode: input size 1888

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: fas_base64_decode: output size 1415

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: get logon certificate success

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: cache_certificate: cache certificate success

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: exit, 0

2021-01-28 01:47:48.060 <P30656:S5> citrix-ctxlogin: validate_user: pam_authenticate err,can retry for user user1@CTXDEV.LOCAL

解決策

ルートCA証明書とすべての中間証明書を格納する完全なパスが/etc/krb5.confに正しく設定されていることを確認してください。完全なパスは次のようになります。

 [realms]

EXAMPLE.COM = {

    ......

    pkinit_anchors = DIR:/etc/pki/CA/certs/

    ......

}  
既存の設定が正しくない場合は、前述のの手順(/ja-jp/linux-virtual-delivery-agent/2308/configure/authentication/federated-authentication-service.html#install-certificates)に従って再度設定してください。
または、ルートCA証明書が有効であるかどうかを確認してください。

シャドウアカウントマッピングエラー

FASはSAML認証によって構成されています。ADFSユーザーがADFSログオンページでユーザー名とパスワードを入力した後、次のエラーが発生する可能性があります。
シャドウアカウントマッピングエラー(/en-us/linux-virtual-delivery-agent/2308/media/shadow-account-mapping-error.png)
このエラーは、ADFSユーザーが正常に検証されたものの、AD上にシャドウユーザーが構成されていないことを示しています。

解決策

ADでシャドウアカウントを設定します。

ADFSが構成されていません

FASストアへのログオン試行中に次のエラーが発生します。
ADFSが構成されていません(/en-us/linux-virtual-delivery-agent/2308/media/adfs-not-configured.png)
FASストアをSAML認証を使用するように構成しているにもかかわらず、ADFS展開が不足している場合にこの問題が発生します。

解決策

フェデレーション認証サービス用にADFS IdPを展開します。詳細については、「フェデレーション認証サービス ADFS展開」(/ja-jp/federated-authentication-service/current-release/deployment-architectures/adfs.html)を参照してください。

関連情報

  • 一般的なFAS展開については、「フェデレーション認証サービスのアーキテクチャの概要」(/ja-jp/federated-authentication-service/current-release/deployment-architectures.html)の記事にまとめられています。
  • 「ハウツー」記事は、「フェデレーション認証サービスの高度な構成」(/ja-jp/federated-authentication-service/current-release/config-manage.html)の章で紹介されています。

既知の問題

FASを使用している場合、非英語文字を含む公開デスクトップまたはアプリセッションを起動しようとすると失敗することがあります。
非英語文字を含むセッションの起動に失敗する

回避策

CAツールでManage Templatesを右クリックし、Citrix\_SmartcardLogonテンプレートをBuild from this Active Directory informationからSupply in the requestに変更します。
リクエストで提供するオプション